使用 VPC Service Controls 问题排查工具进行问题诊断

本页面介绍如何使用 VPC Service Controls 问题排查工具来了解和诊断 VPC Service Controls 记录的问题。

VPC Service Controls 日志包含有关对受保护资源的请求的详细信息，以及 VPC Service Controls 拒绝该请求的原因。但是，这些详细信息有时并不明显，您可能需要花大量时间去理解日志。您可以使用 VPC Service Controls 问题排查工具诊断来自服务边界的拒绝。如需了解违规原因，请参阅调试被 VPC Service Controls 阻止的请求。

您还可以使用问题排查工具诊断来自使用试运行配置的服务边界的拒绝。

准备工作

如需排查 VPC Service Controls 违规问题，请确保您在组织级层具有 VPC Service Controls Troubleshooter Viewer 角色 (roles/accesscontextmanager.vpcScTroubleshooterViewer)。此角色不允许您修改边界或访问权限级别。

访问 VPC Service Controls 问题排查工具

问题排查工具仅在 Google Cloud 控制台中提供。 您可以使用 日Logs Explorer 或 VPC Service Controls 页面访问问题排查工具。

使用 Logs Explorer

使用日志浏览器，您可以直接从 VPC Service Controls 被拒问题的日志条目转到问题排查工具。

如需从日志条目访问问题排查工具，请执行以下操作：

1. 前往 Google Cloud 控制台中的 Logs Explorer 页面。

   前往 Logs Explorer

2. 在 Logs Explorer 中，使用被拒问题的唯一 ID 来访问日志条目。

3. 在查询结果框中，在要排查的被拒问题所在的行中，点击 VPC Service Controls，然后点击排查被拒问题。

使用 VPC Service Controls 页面

在 VPC Service Controls 页面中，您可以使用唯一 ID 排查被拒问题。

在开始之前，请为您要排查的被拒问题获取唯一 ID。

如需从 VPC Service Controls 页面访问问题排查工具，请执行以下操作：

1. 在 Google Cloud 控制台导航菜单中，点击安全，然后点击 VPC Service Controls。

   转到 VPC Service Controls

2. 如果收到提示，请选择您的组织。 您只能在组织级层访问 VPC Service Controls 页面。

3. 在 VPC Service Controls 页面中，点击问题排查。

4. 在 VPC Service Controls 问题排查工具页面的唯一标识符框中，输入您要排查的被拒问题的唯一 ID。

5. 点击问题排查。

后续步骤

• 了解 VPC Service Controls 审核日志
• 了解 VPC Service Controls 唯一标识符如何帮助排查与服务边界相关的问题。
• 使用 VPC Service Controls 违规分析器诊断访问权限拒绝事件（预览版）。